搜索

[14725] 2019-10-21_Flare-On逆向挑战赛（二）

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-10-21_Flare-On逆向挑战赛（二） F l a r e - O n 逆 向 挑 战 赛 （ 二 ） K r i s t o n   F r e e B u f   2 0 1 9 - 1 0 - 2 1 从 从 2 0 1 3 年 开 始 举 办 的 年 开 始 举 办 的 F l a r e - O n 逆 向 挑 战 赛 今 年 已 经 是 第 逆 向 挑 战 赛 今 年 已 经 是 第 6 届 。 今 年 的 比 赛 共 有 届 。 今 年 的 比 赛 共 有 1 2 道 题 目 ， 涉 及 道 题 目 ， 涉 及 W i n d o w s ， ， . N E T ， ， L i n u x 和 和 A n d r o i d 上 上 x 8 6 的 各 种 架 构 。 此 外 ， 这 也 是 的 各 种 架 构 。 此 外 ， 这 也 是 F l a r e - O n 历 史 上 的 第 一 次 比 赛 中 出 现 历 史 上 的 第 一 次 比 赛 中 出 现 N E S R O M 的 题 目 。 该 比 赛 是 仅 有 的 以 的 题 目 。 该 比 赛 是 仅 有 的 以 W i n d o w s 为 中 心 的 为 中 心 的 C T F 竞 赛 之 一 。 完 成 竞 赛 之 一 。 完 成 F l a r e - O n 逆 向 挑 战 也 是 笔 者 一 直 以 来 的 目 逆 向 挑 战 也 是 笔 者 一 直 以 来 的 目 标 之 一 ， 今 年 终 于 有 时 间 去 实 现 这 个 目 标 了 。 标 之 一 ， 今 年 终 于 有 时 间 去 实 现 这 个 目 标 了 。 题 目 信 息 题 目 信 息 h e l p 题 目 是 今 年 f l a r e - o n   c h a l l e n g e 的 最 后 一 道 压 轴 题 目 ， 因 此 相 较 于 传 统 的 题 目 而 言 没 有 更 加 明 确 的 导 向 ， 开 放 性 较 高 ， 需 要 研 究 者 自 己 根 据 经 验 去 分 析 推 断 并 最 终 解 决 问 题 。 下 载 解 压 缩 得 到 一 个 d u m p 文 件 和 一 个 p c a p 文 件 ， w i n d b g 加 载 一 下 这 个 d u m p 文 件 并 执 行 ! a n a l y z e   - v 指 令 可 以 得 到 最 后 的 崩 溃 信 息 。 分 析 时 需 要 注 意 的 是 ， 这 里 的 程 序 和 库 都 是 6 4 位 的 ， 所 以 传 参 数 的 时 候 大 多 数 的 参 数 都 是 通 过 寄 存 器 传 的 ， 而 不 是 通 过 栈 传 递 的 参 数 。 并 且 ， W i n d o w s 下 面 和 L i n u x 下 面 还 不 太 一 样 ， 传 递 时 没 有 通 过 R D I 、 R S I 这 两 个 寄 存 器 。 第 一 个 参 数 保 存 在 R C X 当 中 ， 第 二 个 参 数 保 存 在 R D X 当 中 ， 随 后 是 R 8 、 R 9 寄 存 器 ， 再 之 后 才 是 栈 。 分 析 分 析
首 先 看 下 这 个 p c a p 文 件 ， 内 容 比 较 的 多 。 简 单 查 看 以 下 h t t p 传 输 的 内 容 ， 是 对 f l a r e - o n . c o m 官 网 的 访 问 数 据 流 ， 并 没 有 特 别 引 人 注 意 的 地 方 。 所 以 需 要 通 过 分 析 d u m p 文 件 看 看 这 个 特 别 大 的 数 据 包 到 底 应 该 怎 么 去 使 用 ， 合 理 的 过 滤 留 下 有 用 的 数 据 。 W i n d b g 加 载 完 成 了 之 后 发 现 程 序 崩 溃 在 m a n . s y s 这 个 加 载 的 内 核 驱 动 当 中 ， 并 且 崩 溃 的 位 置 在 m a n   +   0 x 1 c e 7 的 位 置 。 因 此 ， 现 在 要 做 的 就 是 想 办 法 d u m p 下 来 这 个 s y s 文 件 然 后 看 看 当 中 到 底 是 什 么 导 致 了 崩 溃 。 d u m p 文 件 有 两 种 方 法 ， 一 种 是 直 接 在 w i n d b g 当 中 用 w r i t e m e m 命 令 转 储 0 x f 0 0 0 长 度 的 内 存 。 另 外 一 种 是 使 用 之 前 在 隐 写 术 当 中 经 常 出 现 的 v o l a t i l i t y 工 具 ( h t t p s : / / g i t h u b . c o m / v o l a t i l i t y f o u n d a t i o n / v o l a t i l i t y ) ， 这 个 工 具 是 专 门 用 于 分 析 w i n d o w s 的 d u m p 文 件 的 。 首 先 ， 通 过 它 的 m o d u l e s 方 法 查 看 系 统 加 载 了 哪 些 模 块 会 发 现 其 中 存 在 一 个 奇 怪 的 文 件 ， 也 就 是 我 们 之 前 在 w i n d b g 当 中 看 到 的 引 起 崩 溃 的 地 方 。 同 时 也 能 看 到 这 个 文 件 所 在 的 路 径 ， 以 及 系 统 登 录 使 用 的 用 户 名 ( F L A R E   O N   2 0 1 9 ) 。 有 一 点 需 要 注 意 的 是 ， 使 用 v o l a t i l i t y 时 必 须 设 置 的 一 个 参 数 是 p r o f i l e ， 它 需 要 知 道 你 的 m e m o r y d u m p 文 件 来 自 哪 个 版 本 的 操 作 系 统 ， 不 同 的 操 作 系 统 版 本 有 不 同 的 m e m o r y d u m p 存 储 结 构 ， 如 果 选 择 错 了 p r o f i l e 会 导 致 n e t s c a n 等 命 令 无 法 使 用 。 这 里 正 确 的 p r o f i l e 应 该 是 W i n 7 S P 1 x 6 4 。 通 过 m e m d u m p 转 储 s y s 文 件 。 转 储 完 成 之 后 会 发 现 这 并 不 是 一 个 正 常 的 s y s 文 件 ， 因 为 这 个 文 件 缺 少 了 正 常 w i n d o w 下 文 件 的 头 ， 它 的 头 部 全 都 是 x 0 0 。 当 时 分 析 到 这 里 的 时 候 一 下 就 断 了 思 路 ， 不 知 道 下 一 步 应 该 做 什 么 了 。 后 来 第 二 天 重 新 再 看 的 时 候 发 现 这 里 转 储 出 来 的 文 件 中 间 存 在 另 一 个 P E 的 头 ， 将 P E 之 后 的 部 分 提 取 出 来 会 发 现 是 一 个 d l l 文 件 。 尝 试 尝 试 尝 试 调 试 分 析 这 个 d l l 文 件 ， 看 看 能 不 能 给 我 们 提 供 一 些 有 用 的 线 索 。 关 于 d l l 文 件 的 动 态 调 试 ， 可 以 参 考 文 章 h t t p s : / / d i s a s s e m b l e . b l o g / 2 0 1 8 / 0 7 / 1 3 / d e b u g g i n g - a - d l l - i n - x 6 4 d b g - a n d - s y n c - w i t h - i d a / 主 要 看 看 这 个 导 出 函 数 c 当 中 完 成 了 一 些 什 么 ， 函 数 解 密 栈 上 的 数 据 获 得 想 要 调 用 的 W i n d o w s A P I 名 称 ， 解 密 函 数 是 s u b _ 1 8 0 0 0 1 1 5 0 。 这 个 函 数 是 一 个 典 型 的 R 解 密 函 解 密 函 数 ， 数 ， R 加 解 密 的 过 程 相 同 ， 因 此 可 以 解 密 保 存 的 函 数 名 。 执 行 的 流 程 主 要 是 通 过 l i s t e n 监 听 4 4 4 4 端 口 发 送 的 数 据 ， 之 后 调 用 C r e a t e T h r e a d 创 建 新 的 线 程 去 执 行 s u b _ 1 8 0 0 2 b d 0 函 数 。 这 个 函 数 当 中 调 用 r e c v 接 收 数 据 ， V i r t u a l A l l o c 新 建 了 0 x 3 0 0 0 字 节 大 小 的 堆 块 。 r e c v 的 过 程 首 先 接 受 了 4 个 字 节 的 数 据 包 长 度 ， 然 后 接 受 相 应 长 度 的 数 据 ， 根 据 获 得 的 数 据 内 容 去 调 用 D e v i c e I o C o n t r o l 。 分 析 到 这 里 ， 我 们 知 道 了 程 序 通 过 4 4 4 4 端 口 和 外 部 进 行 通 信 。 但 是 打 开 p c a p 包 发 现 通 信 的 内 容 似 乎 和 d l l 当 中 描 述 的 不 太 一 样 ， 似 乎 通 信 数 据 进 行 了 一 定 的 加 密 。 再 次 陷 入 僵 局 。 解 决 解 决 . w r i t e m e m   E : t e s t   0 x f f f f f 8 8 0 0 3 3 b c 0 0 0   L 0 x f 0 0 0 . / v o l a t i l i t y _ 2 . 6 _ l i n 6 4 _ s t a n d a l o n e   - f   ~ / D e s k t o p / h e l p . d m p   - - p r o f i l e = W i n 7 S P 1 x 6 4   m o d u l e s
在 v o l a t i l i t y 查 看 程 序 的 链 接 情 况 时 ， 发 现 除 了 4 4 4 4 端 口 之 外 ， 在 6 6 6 6 ， 7 7 7 7 ， 8 8 8 8 端 口 也 有 已 经 建 立 的 链 接 。 并 且 建 立 的 链 接 的 程 序 都 是 p i d 位 8 7 6 的 s v c h o s t . e x e 程 序 。 我 们 可 以 通 过 v a d d u m p 命 令 d u m p 出 p i d 为 8 7 6 程 序 加 载 的 所 有 使 用 的 内 存 页 ， 会 d u m p 出 一 系 列 的 内 容 ， 内 容 比 较 的 多 。 在 d u m p 出 来 的 所 有 文 件 中 用 g r e p 查 找 包 含 d r o p b o x 字 符 串 的 内 存 页 ， 会 找 到 7 个 对 应 的 文 件 ， 修 复 文 件 头 就 能 够 得 到 这 样 的 几 个 文 件 ， 2 个 s y s 文 件 以 及 5 个 d l l 文 件 。 对 这 样 的 几 个 文 件 进 行 分 析 ， 发 现 其 中 s t m e d i t . s y s 是 一 个 在 内 核 当 中 对 网 络 流 量 进 行 H O O K 并 修 改 的 驱 动 ， 主 要 做 的 是 对 流 量 进 行 亦 或 加 密 。 其 他 的 几 个 d l l 的 功 能 如 下 ： c . d l l   在 流 量 发 送 前 进 行 加 密 n . d l l   负 责 网 络 链 接 , 连 接 1 9 2 . 1 6 8 . 1 . 2 4 3 主 机 传 输 数 据 k . d l l   k e y l o g g e r 进 行 键 盘 记 录 s . d l l   s c r e e n s h o t 抓 取 系 统 截 屏 f . d l l   传 输 文 件 所 以 这 里 的 d l l 传 输 的 不 同 内 容 ， 对 应 的 端 口 也 应 该 不 一 样 。 k e y l o g g e r 、 s c r e e n s h o t 、 f i l e 等 ， 对 应 的 应 该 是 6 6 6 6 , 7 7 7 7 , 8 8 8 8 三 个 端 口 当 中 的 一 个 。 解 密 数 据 包 的 内 容 应 该 就 能 看 到 程 序 到 底 从 被 害 者 的 机 器 当 中 偷 走 了 什 么 东 西 。 在 w i r e s h a r k 当 中 应 用 如 下 的 过 滤 规 则 可 以 看 到 每 个 端 口 传 输 的 数 据 内 容 ， 4 4 4 4 是 在 受 害 者 主 机 上 开 启 的 端 口 ， 接 收 别 人 传 输 的 内 容 ， 6 6 6 6 , 7 7 7 7 , 8 8 8 8 是 连 接 的 攻 击 者 机 器 上 的 端 口 。 关 于 4 4 4 4 端 口 和 8 8 8 8 端 口 ， 之 前 说 过 这 两 个 端 口 的 内 容 都 是 亦 或 加 密 过 的 ， 但 并 不 清 楚 亦 或 使 用 的 k e y 的 内 容 。 这 里 比 较 有 . / v o l a t i l i t y _ 2 . 6 _ l i n 6 4 _ s t a n d a l o n e   - f   ~ / D e s k t o p / h e l p . d m p   - - p r o f i l e = W i n 7 S P 1 x 6 4   v a d d u m p   - D   o u t   - p   8 7 6 t c p . d s t p o r t   = =   4 4 4 4   a n d   t c p . l e n   >   0
意 思 的 一 点 是 可 以 通 过 数 据 包 猜 到 这 个 使 用 的 k e y 。 比 如 4 4 4 4 段 口 的 流 量 当 中 重 复 出 现 了 5 d f 3 4 a 4 8 4 8 4 8 d d 2 3 这 个 字 节 流 ， 把 这 8 个 字 节 作 为 亦 或 使 用 的 k e y 去 解 密 4 4 4 4 的 数 据 包 ， 发 现 4 4 4 4 端 口 当 中 传 输 了 一 个 P E 文 件 。 同 理 用 4 A 1 F 4 B 1 C B 0 D 8 2 5 C 7 作 为 k e y 去 解 密 7 7 7 7 端 口 传 输 的 数 据 ， 能 够 得 到 一 个 b m p 文 件 ， 这 个 文 件 是 传 输 的 受 害 者 主 机 上 的 截 图 文 件 。 这 个 截 图 文 件 比 较 的 关 键 ， 可 以 看 到 m a s t e r   p a s s w o r d 的 长 度 是 1 8 位 。 6 6 6 6 端 口 和 8 8 8 8 端 口 数 据 亦 或 的 k e y 的 内 容 更 加 容 易 得 到 ， 不 知 道 为 什 么 传 输 的 时 候 既 传 送 了 一 个 亦 或 加 密 之 后 的 数 据 包 ， 又 传 输 了 一 个 没 有 亦 或 加 密 的 数 据 包 。 因 此 直 接 将 这 两 个 数 据 包 传 输 的 d a t a 内 容 直 接 亦 或 就 能 够 得 到 亦 或 使 用 的 k e y 。
但 是 不 同 的 是 这 里 两 个 端 口 传 输 的 数 据 内 容 是 经 过 c . d l l 当 中 函 数 加 密 过 的 ， 获 得 真 正 传 输 内 容 还 需 要 解 密 一 下 。 加 密 的 过 程 在 c . d l l 当 中 的 e 函 数 里 ， 可 以 看 到 加 密 是 调 用 了 w i n d o w s 的 R t l C o m p r e s s B u f f e r 的 L Z N T 1 压 缩 函 数 之 后 又 调 用 了 R * * 加 密 函 数 加 密 了 一 次 ， 加 密 使 用 的 k e y 是 用 户 的 用 户 名 ， 并 且 因 为 G e t U s e r n a m e 的 特 性 用 户 名 之 后 还 多 加 了 一 个 0 ， 为 ’ F L A R E O N   2 0 1 9 0 ’ 。 因 此 解 密 的 过 程 如 下 X O R k e y → R * * → D e c o m p r e s s 。 对 8 8 8 8 端 口 的 解 密 ， 解 密 出 一 些 有 意 思 的 东 西 ， 如 下 图 所 示 。 这 个 k e y l o g g e r 记 录 的 是 当 前 使 用 程 序 的 标 题 和 键 盘 的 输 入 ， 看 起 来 输 入 的 内 容 是 t h 1 s i s t h 3 3 n d 1 1 1 ， 当 前 正 在 使 用 的 程 序 是 K e e P a s s 。 但 是 这 个 输 入 的 内 容 和 之 前 解 密 出 来 图 片 中 密 码 长 度 不 符 ， 这 里 只 有 1 5 个 字 节 ， 而 之 前 的 图 片 中 显 示 密 码 的 长 度 应 该 是 1 8 个 字 节 。 所 以 这 里 还 有 一 些 问 题 ， 问 题 出 现 在 k e y l o g g e r 的 实 现 当 中 ， 题 目 也 说 了 这 个 木 马 文 件 的 实 现 是 有 问 题 的 。 当 我 们 查 看 k e y l o g g e r 实 现 时 可 以 发 现 其 逻 辑 存 在 问 题 。 当 按 下 s h i f t   +   1 的 时 候 ， 也 就 是 我 们 输 入 的 是 一 个 ! 的 时 候 ， 会 被 记 录 成 1 ， 输 入 为 # 的 时 候 会 被 记 录 成 3 。 输 入   或 者 . 的 时 候 不 会 被 记 录 下 来 。 因 此 猜 测 缺 少 的 3 个 字 符 应 该 是 等 特 殊 字 符 。
我 们 将 6 6 6 6 端 口 得 到 的 数 据 流 量 解 密 ， 得 到 一 个 k e e p a s s 的 数 据 库 文 件 ， 可 以 用 k e e p a s s 2 j o h n 将 其 转 换 成 为 j o h n   t h e   r i p p e r 的 h a s h 格 式 ， 然 后 下 载 j o h n 并 用 j o h n 的 M A S K 功 能 生 成 w o r d l i s t 进 行 爆 破 ， 爆 破 出 剩 下 字 符 的 位 置 和 内 容 。 得 到 p a s s w d   T h ! s _ i S _ t h 3 _ 3 N d ! ! ! 。 打 开 k e e p a s s 的 数 据 库 文 件 就 能 够 得 到 f l a g 了 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： K r i s t o n ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 [ u s e r ] ~ $   g i t   c l o n e   h t t p s : / / g i t h u b . c o m / p i y u s h c s e 2 9 / j o h n - t h e - r i p p e r . g i t [ u s e r ] ~ $   c d   j o h n - t h e - r i p p e r / s r c [ u s e r ] ~ $   m a k e [ u s e r ] ~ $   m a k e   c l e a n   g e n e r i c [ u s e r ] ~ $   c d   . . / r u n . / j o h n   - - m a s k = " [ t T ] [ h H ] [ ! 1 ] [ s S ] _ [ i I ] [ s S ] _ [ t T ] [ h H ] [ 3 # ] _ [ 3 # ] [ n N ] [ d D ] [ ! 1 ] [ ! 1 ] [ ! 1 ] "   - s t d o u t   > >   w o r d l i s t           . / j o h n   - - f o r m a t : K e e P a s s   - - w o r d l i s t = / h o m e / l o w k e y / D e s k t o p / J o h n T h e R i p p e r - b l e e d i n g - j u m b o / r u n / w o r d l i s t   ~ / D e s k t o p / k p

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理